信息系统安全等级保护基本要求(三级要求)

等级保护三级(等保三级)基本要求
等级保护三级（等保三级）是指我国网络安全等级保护的一种安全等级，适用于重要网络系统，具有较高的安全等级要求。

其基本要求包括以下几个方面：
1. 安全策略与管理：制定和实施网络安全策略与管理制度，包括安全管理组织、安全运维管理、安全教育培训等。

2. 访问控制：建立完善的安全边界与访问控制措施，包括网络边界安全防护、口令策略、身份认证与访问控制、权限分级管理等。

3. 主机安全与数据保护：确保网络主机的安全，包括安装和管理安全的操作系统、应用软件补丁管理、强化主机的安全配置、数据备份与恢复等。

4. 通信保密与数据传输：采取加密技术保护网络通信的机密性与完整性，包括建立合适的加密通信机制、安全传输措施、防止数据泄露与篡改等。

5. 应用系统安全：确保应用系统的安全，包括安全设计与开发、安全测试与验证、应用系统权限与审计控制、安全运维等。

6. 安全事件监测与应急响应：建立安全监测与响应机制，包括安全事件的实时监测、异常行为分析、风险评估与应急响应等。

7. 安全审计与评估：定期进行安全审计和安全评估，发现并修
复潜在的安全漏洞和风险。

8. 安全保密管理：建立安全保密管理制度，包括建立安全保密责任制、保密设施与设备管理、保密培训与安全宣传等。

以上是等级保护三级基本要求的一些主要内容，不同的具体情况和需要可能还会涉及其他细节和要求。

等级保护第三级基本要求实施建议残留问题1.1.1物理安全1.1.1.1物理位置的选择（G3）本项要求包括：a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。

一般选择在建筑物2-3层。

（同B类安全机房的选址要求。

）1.1.1.2物理访问控制（G3）本项要求包括：a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；b)需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；c)应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；d)重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。

重要区域物理隔离，并安装电子门禁系统（北京天宇飞翔，深圳微耕，瑞士KABA或德国KABA Gallenschutz）1.1.1.3防盗窃和防破坏（G3）本项要求包括：a)应将主要设备放置在机房内；b)应将设备或主要部件进行固定，并设置明显的不易除去的标记；使用机柜并在设备上焊接铭牌，标明设备型号、负责保管人员、维护单位等信息。

（设备铭牌只能被破坏性地去除。

）c)应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；d)应对介质分类标识，存储在介质库或档案室中；e)应利用光、电等技术设置机房防机房安装光电防盗报警系统。

盗报警系统；f)应对机房设置监控报警系统。

机房安装视频监控报警系统。

1.1.1.4防雷击（G3）本项要求包括：a)机房建筑应设置避雷装置；b)应设置防雷保安器，防止感应雷；安装电源三级防雷器和信号二级防雷器（美国克雷太ALLTEC）。

c)机房应设置交流电源地线。

1.1.1.5防火（G3）本项要求包括：a)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；安装有管网气体自动灭火系统。

b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；进行机房改造，使用防火材料装修。

信息系统安全等级保护基本要求第三级安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。

1 三级基本要求1.1技术要求1.1.1物理安全1.1.1.1物理位置的选择（G3）本项要求包括：a）机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b）机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。

1.1.1.2物理访问控制（G3）本项要求包括：a）机房出入口应安排专人值守，控制、鉴别和记录进入的人员；b）需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围；c）应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域；d）重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。

1.1.1.3防盗窃和防破坏（G3）本项要求包括:a）应将主要设备放置在机房内；b）应将设备或主要部件进行固定，并设置明显的不易除去的标记；c）应将通信线缆铺设在隐蔽处，可铺设在地下或管道中；d）应对介质分类标识，存储在介质库或档案室中；e）应利用光、电等技术设置机房防盗报警系统；f）应对机房设置监控报警系统。

1.1.1.4防雷击（G3）本项要求包括：a）机房建筑应设置避雷装置；b）应设置防雷保安器，防止感应雷；c）机房应设置交流电源地线。

1.1.1.5防火（G3）本项要求包括：a）机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；b）机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；c）机房应采取区域隔离防火措施，将重要设备与其他设备隔离开。

1.1.1.6防水和防潮（G3）本项要求包括：a）水管安装，不得穿过机房屋顶和活动地板下；b）应米取措施防止雨水通过机房窗户、屋顶和墙壁渗透；c）应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；d）应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警。

信息安全技术信息系统安全等级保护基本要求Information security technology—Baseline for classified protection of information system1 第三级基本要求1.1 技术要求1.1.1 物理安全1.1.1.1 物理位置的选择(G3）本项要求包括：a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。

1.1.1.2 物理访问控制（G3）本项要求包括：a)机房出入口应安排专人值守，控制、鉴别和记录进入的人员；b)需进入机房的来访人员应经过申请和审批流程,并限制和监控其活动范围；c)应对机房划分区域进行管理，区域和区域之间设置物理隔离装置,在重要区域前设置交付或安装等过渡区域；d)重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员。

1.1.1.3 防盗窃和防破坏（G3）本项要求包括：a)应将主要设备放置在机房内;b)应将设备或主要部件进行固定,并设置明显的不易除去的标记；c)应将通信线缆铺设在隐蔽处,可铺设在地下或管道中；d)应对介质分类标识，存储在介质库或档案室中；e)应利用光、电等技术设置机房防盗报警系统；f)应对机房设置监控报警系统。

1.1.1.4 防雷击（G3)本项要求包括：a)机房建筑应设置避雷装置；b)应设置防雷保安器，防止感应雷；c)机房应设置交流电源地线。

1.1.1.5 防火（G3）本项要求包括：a)机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火；b)机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料；c)机房应采取区域隔离防火措施，将重要设备与其他设备隔离开.1.1.1.6 防水和防潮（G3）本项要求包括:a)水管安装,不得穿过机房屋顶和活动地板下；b)应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透；c)应采取措施防止机房内水蒸气结露和地下积水的转移与渗透；d)应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警.1.1.1.7 防静电（G3）本项要求包括：a)主要设备应采用必要的接地防静电措施；b)机房应采用防静电地板。

安全等保第三级基本要求安全等级保护是指根据国家有关法律、法规和标准，将信息系统按照其重要程度和安全需求划分为不同的安全等级，并采取相应的安全措施进行保护。

安全等级保护的目的是为了确保信息系统的安全性和可靠性，防范各种安全威胁和风险，维护国家和社会稳定。

安全等级保护第三级是指对涉密信息系统进行安全保护的最基本要求。

涉密信息系统是指经国家有关部门批准的，属于国家秘密的信息系统。

安全等级保护第三级要求涉密信息系统的保护达到相对高的水平，能够抵御一定的安全威胁和攻击。

安全等级保护第三级的基本要求如下：1.信息系统的管理要求（1）制定并实施信息系统安全管理制度，明确责任和权限；（2）建立信息系统安全责任制，明确相关人员的安全职责与义务；（3）建立健全安全保密工作机构，确保信息系统安全工作的专业化、规范化和持续性；（4）建立信息系统安全风险评估制度，定期评估系统的安全风险程度，并采取相应的风险控制措施；（5）对信息系统的维护与运行管理进行监督，确保系统的正常运行和安全可靠。

2.信息系统的物理安全要求（1）建立完善的物理安全保护设施，包括门禁系统、监控摄像设备等；（2）对涉密信息系统所在的机房、机柜等场所进行严格的控制和管理；（3）对进入物理安全控制区域的人员进行身份鉴别和审查，并记录相关信息；（4）严格控制物理接口和通信线路的接入，防止非授权的数据传输和泄露。

3.信息系统的网络安全要求（1）建立防火墙、入侵检测系统等网络安全设备，保护信息系统不受网络攻击；（2）对网络设备进行安全配置和管理，限制非授权访问和操作；（3）建立网络安全事件响应机制，及时发现和应对安全事件；（4）对涉密信息系统进行网络监测和审计，检测是否存在异常行为和攻击行为。

4.信息系统的安全防护要求（1）建立完善的身份认证和访问控制机制，确保只有授权用户才能访问系统；（2）对涉密信息进行数据加密，保护数据的机密性和完整性；（3）建立信息系统的备份和恢复机制，确保数据的可用性和可恢复性；（4）对信息系统进行病毒和恶意代码的防护，确保系统不受恶意软件的侵害。

目次前言 (IX)引言 (X)1 范围 (1)2规范性引用文件 (1)3术语和定义...........................................................错误!未定义书签。

4信息系统安全等级保护概述 (1)4.1 信息系统安全保护等级 (1)4.2 不同等级的安全保护能力 (1)4.3 基本技术要求和基本管理要求 (1)4.4 基本技术要求的三种类型 (2)5第一级基本要求.......................................................错误!未定义书签。

5.1 技术要求...........................................................错误!未定义书签。

5.1.1物理安全.........................................................错误!未定义书签。

5.1.1.1 物理访问控制（G1）.............................................错误!未定义书签。

5.1.1.2 防盗窃和防破坏（G1）...........................................错误!未定义书签。

5.1.1.3 防雷击（G1）...................................................错误!未定义书签。

5.1.1.4 防火（G1）.....................................................错误!未定义书签。

5.1.1.5 防水和防潮（G1）...............................................错误!未定义书签。

5.1.1.6 温湿度控制（G1）...............................................错误!未定义书签。

信息系统安全等级保护基本要求（三级）GB/T 22239—2008目录7.1 技术要求.............................................................................................................................. - 1 - 7.1.1 物理安全.......................................................................................................................... - 1 - 7.1.1.1 物理位置的选择（G3）.............................................................................................. - 1 - 7.1.1.2 物理访问控制（G3）.................................................................................................. - 1 - 7.1.1.3 防盗窃和防破坏（G3）.............................................................................................. - 1 - 7.1.1.4 防雷击（G3）.............................................................................................................. - 1 - 7.1.1.5 防火（G3）.................................................................................................................. - 1 - 7.1.1.6 防水和防潮（G3）...................................................................................................... - 2 - 7.1.1.7 防静电（G3）.............................................................................................................. - 2 - 7.1.1.8 温湿度控制（G3）...................................................................................................... - 2 - 7.1.1.9 电力供应（A3）.......................................................................................................... - 2 - 7.1.1.10 电磁防护（S3）........................................................................................................ - 2 - 7.1.2 网络安全.......................................................................................................................... - 2 - 7.1.2.1 结构安全（G3）.......................................................................................................... - 2 - 7.1.2.2 访问控制（G3）.......................................................................................................... - 3 - 7.1.2.3 安全审计（G3）.......................................................................................................... - 3 - 7.1.2.4 边界完整性检查（S3）.............................................................................................. - 3 - 7.1.2.5 入侵防范（G3）.......................................................................................................... - 3 - 7.1.2.6 恶意代码防范（G3）.................................................................................................. - 3 - 7.1.2.7 网络设备防护（G3）.................................................................................................. - 4 - 7.1.3 主机安全.......................................................................................................................... - 4 - 7.1.3.1 身份鉴别（S3）.......................................................................................................... - 4 - 7.1.3.2 访问控制（S3）.......................................................................................................... - 4 - 7.1.3.3 安全审计（G3）.......................................................................................................... - 4 - 7.1.3.4 剩余信息保护（S3）.................................................................................................. - 5 - 7.1.3.5 入侵防范（G3）.......................................................................................................... - 5 - 7.1.3.6 恶意代码防范（G3）.................................................................................................. - 5 - 7.1.3.7 资源控制（A3）.......................................................................................................... - 5 - 7.1.4 应用安全.......................................................................................................................... - 5 - 7.1.4.1 身份鉴别（S3）.......................................................................................................... - 5 - 7.1.4.2 访问控制（S3）.......................................................................................................... - 6 - 7.1.4.3 安全审计（G3）.......................................................................................................... - 6 - 7.1.4.4 剩余信息保护（S3）.................................................................................................. - 6 - 7.1.4.5 通信完整性（S3）...................................................................................................... - 6 - 7.1.4.6 通信保密性（S3）...................................................................................................... - 6 - 7.1.4.7 抗抵赖（G3）.............................................................................................................. - 6 - 7.1.4.8 软件容错（A3）.......................................................................................................... - 7 -7.1.5 数据安全及备份恢复...................................................................................................... - 7 - 7.1.5.1 数据完整性（S3）...................................................................................................... - 7 - 7.1.5.2 数据保密性（S3）...................................................................................................... - 7 - 7.1.5.3 备份和恢复（A3）...................................................................................................... - 7 - 7.2 管理要求.............................................................................................................................. - 8 - 7.2.1 安全管理制度.................................................................................................................. - 8 - 7.2.1.1 管理制度（G3）.......................................................................................................... - 8 - 7.2.1.2 制定和发布（G3）...................................................................................................... - 8 - 7.2.1.3 评审和修订（G3）...................................................................................................... - 8 - 7.2.2 安全管理机构.................................................................................................................. - 8 - 7.2.2.1 岗位设置（G3）.......................................................................................................... - 8 - 7.2.2.2 人员配备（G3）.......................................................................................................... - 8 - 7.2.2.3 授权和审批（G3）...................................................................................................... - 9 - 7.2.2.4 沟通和合作（G3）...................................................................................................... - 9 - 7.2.2.5 审核和检查（G3）...................................................................................................... - 9 - 7.2.3 人员安全管理.................................................................................................................. - 9 - 7.2.3.1 人员录用（G3）.......................................................................................................... - 9 - 7.2.3.2 人员离岗（G3）........................................................................................................ - 10 - 7.2.3.3 人员考核（G3）........................................................................................................ - 10 - 7.2.3.4 安全意识教育和培训（G3）.................................................................................... - 10 - 7.2.3.5 外部人员访问管理（G3）........................................................................................ - 10 - 7.2.4 系统建设管理................................................................................................................ - 10 - 7.2.4.1 系统定级（G3）........................................................................................................ - 10 - 7.2.4.2 安全方案设计（G3）................................................................................................ - 10 - 7.2.4.3 产品采购和使用（G3）............................................................................................ - 11 - 7.2.4.4 自行软件开发（G3）................................................................................................ - 11 - 7.2.4.5 外包软件开发（G3）................................................................................................ - 11 - 7.2.4.6 工程实施（G3）........................................................................................................ - 11 - 7.2.4.7 测试验收（G3）........................................................................................................ - 12 - 7.2.4.8 系统交付（G3）........................................................................................................ - 12 - 7.2.4.9 系统备案（G3）........................................................................................................ - 12 - 7.2.4.10 等级测评（G3）...................................................................................................... - 12 - 7.2.4.11 安全服务商选择（G3）.......................................................................................... - 12 - 7.2.5 系统运维管理................................................................................................................ - 13 - 7.2.5.1 环境管理（G3）........................................................................................................ - 13 - 7.2.5.2 资产管理（G3）........................................................................................................ - 13 - 7.2.5.3 介质管理（G3）........................................................................................................ - 13 - 7.2.5.4 设备管理（G3）........................................................................................................ - 13 - 7.2.5.5 监控管理和安全管理中心（G3）............................................................................ - 14 - 7.2.5.6 网络安全管理（G3）................................................................................................ - 14 - 7.2.5.7 系统安全管理（G3）................................................................................................ - 14 - 7.2.5.8 恶意代码防范管理（G3）........................................................................................ - 15 - 7.2.5.9 密码管理（G3）........................................................................................................ - 15 -7.2.5.11 备份与恢复管理（G3）.......................................................................................... - 15 - 7.2.5.12 安全事件处置（G3）.............................................................................................. - 15 - 7.2.5.13 应急预案管理（G3）.............................................................................................. - 16 -7.1 技术要求7.1.1 物理安全7.1.1.1 物理位置的选择（G3）本项要求包括：a) 机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内；b) 机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。

国家信息安全等级保护第三级系统要求
国家信息安全等级保护第三级系统是指重要或较重要的、对国家利益具有直接影响的信息系统。

相应的系统要求如下：
1. 系统安全性要求：确保系统运行时的安全性，包括系统隔离、数据防泄密、系统及网络拒绝服务攻击防护等。

2. 安全管理要求：确保系统的安全管理能力，包括安全策略制定、安全意识培训、安全事件管理等。

3. 访问控制要求：实施严格的访问控制措施，包括用户身份验证、用户权限管理、终端设备管理等。

4. 数据保密性要求：保护系统中的敏感信息，确保数据的保密性，包括数据加密、访问控制、备份与恢复等。

5. 流程审批要求：建立完整的流程审批机制，确保系统操作与管理的合规性与规范性。

6. 系统运维要求：确保系统的正常运行和维护，包括系统漏洞及时修复、安全补丁更新、监控与审计等。

7. 系统监测要求：建立有效的系统监测与预警机制，及时发现并应对潜在的安全威胁。

8. 应急响应要求：建立应急响应机制，对安全事件做出及时响应，包括安全事件处置、调查与追溯等。

9. 安全审计要求：进行定期的安全审计，确保系统的合规性与安全性。

10. 系统备份与恢复要求：建立完善的系统备份与恢复机制，确保系统数据的安全性与可恢复性。

11. 系统通信安全要求：对系统的通信过程进行加密与防护，确保数据在传输过程中的安全性。

12. 隐私保护要求：保护用户、个人等相关主体的隐私信息，确保相关信息的保密性与安全性。

以上是国家信息安全等级保护第三级系统的一些基本要求，具体的要求可能会根据不同国家的政策和法规而有所差异。

信息系统安全等级保护基本要求资料信息系统安全等级保护是指根据信息系统所处的特定环境以及信息系统风险等级，确定一定的安全措施和管理要求，以达到对信息系统进行有效保护的目的。

三级保护是对信息系统安全等级的一种分类，需要满足一定的基本要求。

下面将对信息系统安全等级保护基本要求（三级要求）进行详细介绍。

一、制定安全保护管理制度1.明确组织安全保护的权责和制度规范，包括安全保护管理机构和人员职责、安全工作制度及流程等。

2.建立相应的安全管理机构和组织架构，确保安全管理职能能够有效运转，并有专责人员进行安全保护管理工作。

二、实施信息系统安全管理1.制定完善的安全管理制度和规范，包括信息系统开发、维护、运行、使用等各个阶段的安全管理要求。

2.建立完善的安全管理体系和流程，包括对系统运行状态监控、安全漏洞扫描和防护措施等。

三、建立完善的访问控制机制1.针对不同的用户和角色，建立完善的用户身份认证和授权机制，确保只有授权的用户才能访问相应的系统和资源。

2.建立访问审计机制，对系统和资源的访问行为进行监控和审计，并保留相应的日志。

四、建立完善的网络安全防护机制1.建立网络边界安全防护设备，包括防火墙、入侵检测系统（IDS）等，阻止未经授权的外部进入。

2.建立网络入侵检测和响应机制，及时发现和处理可能的攻击行为。

3.实施网络设备的安全配置和管理，确保网络设备的安全性。

五、实施系统安全加固1.对操作系统、数据库等系统软件进行安全配置和加固，关闭不必要的服务和端口，避免被攻击利用。

2.对系统进行漏洞扫描和补丁管理，及时修复已知漏洞，确保系统的稳定性和安全性。

六、实施物理安全措施1.建立访问控制制度，设置门禁系统和监控设备，确保未经授权人员无法进入机房和服务器等关键区域。

2.定期检查维护服务器、网络设备等硬件设备，保障其正常运行。

七、完善应急响应和恢复机制1.建立应急响应和事件处理机制，对可能发生的安全事件进行预案制定和演练，及时响应和处理安全事件。

《信息系统安全等级保护基本要求》二级三级等级保护要求比较一、系统安全性要求：1.一级要求较低，主要考虑核心数据的保护、访问控制和系统审计日志等基本安全功能的实现。

2.二级要求相对较高，除了满足一级的要求，还要考虑网络存储和交换环境的安全性要求，包括网络通信的安全性、身份验证和访问控制等。

3.三级要求最高，要求实现最严密的系统安全防护，包括支持安全与保密审计功能、支持密级管理、网络安全协议和加密算法等。

二、可用性要求：1.一级要求保障系统的基本可用性，如支持系统间连通性、数据备份与恢复等。

2.二级要求系统应具备高可用性，能够在故障发生时快速恢复，包括主备容灾机制、故障切换能力等。

3.三级要求系统应具备非常高的可用性，能够快速应对外部攻击和故障，比如具备自我修复机制、负载均衡等。

三、可靠性要求：1.一级要求系统应具备一定的可靠性，能够防范一些低级威胁，如病毒攻击、网络钓鱼等。

2.二级要求系统应具备一定的抗攻击能力，如入侵检测与防御、拒绝服务攻击防范等。

3.三级要求系统应具备高度的安全可靠性，能够抵御高级威胁，如零日漏洞攻击、高级持续性威胁等。

四、可控性要求：1.一级要求系统应具备基本的访问控制和权限管理功能。

2.二级要求系统应具备较高的管理和控制能力，如用户身份验证、权限策略管理等。

3.三级要求系统应具备强大的访问控制和权限管理功能，支持细粒度的授权控制、审计与监控。

五、安全保密服务要求：1.一级要求系统应具备基本的安全保密机制，如数据加密、安全日志等。

2.二级要求系统应具备较高的密钥管理和加密解密能力。

3. 三级要求系统应支持更高级的安全保密服务，如多重身份认证、智能卡/USBkey认证等。

综上所述，不同等级的保护要求主要区别在于对系统安全性、可用性、可靠性、可控性和安全保密服务等方面的要求程度不同。

三级要求最高，一级要求最低，不同等级的保护要求逐渐提升，以适应不同安全等级的系统应用需求。